“DDoS高防+WAF”聯(lián)動(dòng)，提升網(wǎng)站全面防護(hù)能力
一.DDoS高防、WAF防護(hù)原理介紹
● DDoS高防通過高防IP代理源IP對(duì)外提供服務(wù)，將所有的公網(wǎng)流量都引流至高防IP，進(jìn)而隱藏源站，避免源站（用戶業(yè)務(wù)）遭受大流量DDoS攻擊。DDoS高防支持防護(hù)的對(duì)象：域名，華為云、非華為云或云下的Web業(yè)務(wù)
● Web應(yīng)用防火墻通過對(duì)HTTP(S)請(qǐng)求進(jìn)行檢測(cè)，識(shí)別并阻斷SQL注入、跨站腳本攻擊、網(wǎng)頁木馬上傳、命令/代碼注入、文件包含、敏感文件訪問、第三方應(yīng)用漏洞攻擊、CC攻擊、惡意爬蟲掃描、跨站請(qǐng)求偽造等攻擊，保護(hù)Web服務(wù)安全穩(wěn)定。WAF支持云模式、獨(dú)享模式兩種部署模式，各部署模式支持防護(hù)的對(duì)象說明如下：
? 云模式：域名接入，華為云、非華為云或云下的Web業(yè)務(wù)
? 獨(dú)享模式：域名或IP接入，華為云上的Web業(yè)務(wù)
DDoS高防+WAF可以對(duì)華為云、非華為云或云下的域名進(jìn)行聯(lián)動(dòng)防護(hù)，可以同時(shí)防御DDoS攻擊（NTP Flood攻擊、SYN Flood攻擊、ACK Flood攻擊、ICMP Flood攻擊、HTTP Get Flood攻擊等），以及Web應(yīng)用攻擊（SQL注入、跨站腳本攻擊、網(wǎng)頁木馬上傳、命令/代碼注入、文件包含、敏感文件訪問、第三方應(yīng)用漏洞攻擊、CC攻擊、惡意爬蟲掃描、跨站請(qǐng)求偽造等），確保業(yè)務(wù)持續(xù)可靠運(yùn)行，配置原理圖如下圖所示。
約束條件
? 因?yàn)镈DoS高防是四層Web代理的產(chǎn)品，為了保證WAF的安全策略能夠針對(duì)真實(shí)源IP生效，請(qǐng)確保域名“是否已使用代理”已配置為“否”，如需修改請(qǐng)參見查看基本信息章節(jié)進(jìn)行操作。
? 如果WAF前使用了高防、CDN（Content Delivery Network，內(nèi)容分發(fā)網(wǎng)絡(luò)）、云加速等代理，配置CC防護(hù)規(guī)則時(shí)，建議“限速模式”選擇“用戶限速”，并勾選“全局計(jì)數(shù)”。
二. DDoS高防+WAF流量全景圖
DDoS高防+WAF配置后，流量被DDoS高防轉(zhuǎn)發(fā)到WAF，WAF再將流量轉(zhuǎn)到源站，實(shí)現(xiàn)網(wǎng)站流量檢測(cè)和攻擊攔截。
相關(guān)配置說明如下：
? 云模式：先將域名解析到DDoS高防，再修改DDoS高防域名信息，將源站域名修改為WAF的“CNAME”。同時(shí)，為了防止其他用戶提前將您的域名配置到WAF上，從而對(duì)您的域名防護(hù)造成干擾，建議您到DNS服務(wù)商處添加一條WAF的子域名和TXT記錄。
? 獨(dú)享模式：先將域名解析到DDoS高防，再修改DDoS高防域名信息，將源站IP修改為WAF獨(dú)享引擎實(shí)例配置彈性負(fù)載均衡綁定的彈性公網(wǎng)IP。
三.“DDoS高防+WAF聯(lián)動(dòng)”配置策略
云模式WAF配置策略
以下操作以華為云DDoS高防為例介紹配置域名解析的方法。如果您使用的是華為云DDoS高防，您可以直接參照以下步驟進(jìn)行操作；若您使用華為云以外的DDoS高防，請(qǐng)參考以下步驟在其他DDoS高防上進(jìn)行類似配置。
1.獲取Web應(yīng)用防火墻的“CNAME”、“子域名”和“TXT記錄”值。登錄管理控制臺(tái)
a.登錄管理控制臺(tái)。
b.單擊管理控制臺(tái)左上角的
，選擇區(qū)域或項(xiàng)目。
b.???????????????????????單擊頁面左上方的
，選擇“安全與合規(guī) > Web應(yīng)用防火墻 WAF”。
d.在目標(biāo)域名所在行的“網(wǎng)站設(shè)置”列中，單擊目標(biāo)域名，進(jìn)入域名基本信息頁面。
e.在域名基本信息頁面，單擊CNAME所在行，復(fù)制“CNAME”。在“接入狀態(tài)”所在行，單擊“如何接入？”，在彈出的對(duì)話框中，復(fù)制“子域名”和“TXT記錄”。
2.DDoS高防回源IP地址修改
a.單擊頁面上方的
，選擇“安全與合規(guī) > DDoS防護(hù)”，在左側(cè)導(dǎo)航樹中，選擇“DDoS高防 > 域名接入”，進(jìn)入域名配置頁面。
b.在使用的DDoS高防代理類服務(wù)的域名所在行的“操作”列，單擊“編輯”，進(jìn)入“域名業(yè)務(wù)配置編輯”頁面，將“源站IP/域名”的內(nèi)容修改為復(fù)制的WAF的CNAME值。
c.單擊“確定”，DDoS高防回源地址修改完成。
3.（可選）在DNS服務(wù)商添加一條WAF的子域名和TXT記錄
說明：為了防止其他用戶提前將您的域名配置到Web應(yīng)用防火墻上，從而對(duì)您的域名防護(hù)造成干擾，建議您完成此操作。
a.進(jìn)入云解析頁面的入口，如圖3所示。
圖3 云解析頁面入口
b.在頁面的右上角，單擊“添加記錄集”，進(jìn)入“添加記錄集”頁面，配置模式如圖4所示。
? “主機(jī)記錄”：1.e中復(fù)制的TXT記錄；
? “類型”：選擇“TXT-設(shè)置文本記錄”；
? “別名”：選擇“否”；
? “線路類型”：全網(wǎng)默認(rèn)；
? “TTL(秒)”：一般建議設(shè)置為5分鐘，TTL值越大，則DNS記錄的同步和更新越慢；
? “值”：將1.e中復(fù)制的TXT記錄加上引號(hào)后粘貼在對(duì)應(yīng)的文本框，例如，"TXT記錄"；
? 其他的設(shè)置保持不變。
c.單擊“確定”，完成子域名配置。
4.（可選）驗(yàn)證DNS配置。您可以Ping網(wǎng)站域名驗(yàn)證DNS解析是否生效
說明：由于DNS解析記錄生效需要一定時(shí)間，如果驗(yàn)證失敗，您可以等待5分鐘后重新檢查。
獨(dú)享模式WAF配置策略
請(qǐng)參考以下步驟在華為云DDoS高防上進(jìn)行配置操作。
1.登錄管理控制臺(tái)。
2.單擊管理控制臺(tái)左上角的
，選擇區(qū)域或項(xiàng)目。
3.單擊頁面左上方的
，選擇“安全與合規(guī) > DDoS防護(hù)”，進(jìn)入DDoS防護(hù)頁面。
4.在左側(cè)導(dǎo)航樹中，選擇“DDoS高防 > 域名接入”，進(jìn)入域名接入頁面。
5.在目標(biāo)域名所在行的“操作”列中，單擊“編輯”。
6.在彈出“域名業(yè)務(wù)配置編輯”對(duì)話框中，修改源站IP。
須知：如果您的業(yè)務(wù)使用了WAF獨(dú)享模式，“源站”文本框中請(qǐng)輸入為彈性負(fù)載均衡綁定彈性公網(wǎng)IP。
7.單擊“確定”，完成源站IP配置。
生效條件
當(dāng)“接入狀態(tài)”為“已接入”，表示域名/IP接入成功。
須知：
WAF每隔一小時(shí)就會(huì)自動(dòng)檢測(cè)防護(hù)網(wǎng)站的 “接入狀態(tài)”，當(dāng)WAF統(tǒng)計(jì)防護(hù)網(wǎng)站在5分鐘內(nèi)達(dá)到20次訪問請(qǐng)求時(shí)，將認(rèn)定該防護(hù)網(wǎng)站已成功接入WAF。
如果域名接入失敗，即域名接入狀態(tài)為“未接入”，請(qǐng)參考域名/IP接入狀態(tài)顯示“未接入”，如何處理？排查處理。